Қазақстандағы пентест: бұл не, заңды ма және қанша тұрады
KEMEL.TECH · Жаңартылған:
Пентест (ену тестілеуі) — жүйелер иесімен жасалған шарт бойынша мамандар нағыз зиянкестей жүйені бұзуға тырысатын қорғаныс тексеруі. Қазақстанда пентест ресурс иесінің жазбаша рұқсатымен заңды; рұқсатсыз ол ақпаратқа заңсыз қол жеткізу болып табылады (ҚР Қылмыстық кодексінің 205-бабы). KEMEL.TECH-те клиент тек расталған осалдықтар үшін төлейді: төмен осалдық үшін 15 000 ₸-ден бастап, сыни осалдық үшін 600 000 ₸-ге дейін, ал осалдық табылмаса, есеп тегін.
Пентест дегеніміз не: қарапайым тілмен
Пентест «бізді бұзуға бола ма және қай жолмен» деген сұраққа жауап береді. Мамандар сайттағы, жеке кабинеттегі, API-дегі, мобильді қосымшадағы және сыртқы периметрдегі әлсіз тұстарды іздейді, оларды деректерге және сервис жұмысына зиян келтірмей растайды және қалай түзетуді түсіндіреді.
Нәтижесінде тапсырыс беруші есеп алады: әр осалдықтың сипаттамасы, оның CVSS шкаласы бойынша қауіптілігі және әзірлеушілерге арналған ұсынымдар. Түзетуден кейін қайталама тексеру (ретест) жүргізіледі.
Қазақстанда пентест заңды ма
Иә, ресурс иесінің жазбаша рұқсаты (Authorization Letter) болса. Рұқсатсыз жұмыс ҚР Қылмыстық кодексінің 205-бабы бойынша ақпаратқа заңсыз қол жеткізу ретінде сараланады.
- Тапсырыс беруші мен орындаушы арасындағы NDA.
- Шекаралары нақты тестілеу шарты: домендер, IP-мекенжайлар, API, мерзімдер.
- Ресурс иесінің жазбаша рұқсаты. Жүйені хостингтен немесе бұлттан жалға алсаңыз, оның келісімі де қажет.
- Тест дербес деректерге қатысты болса, оларды өңдеу тәртібі (ҚР «Дербес деректер және оларды қорғау туралы» № 94-V Заңы).
- Орындалған жұмыстар актісі.
Баға неден құралады
Әдетте пентест бағасы көлемнен есептеледі: қанша қосымша, бет, рөл және API бар. Тапсырыс беруші алдын ала төлейді және бірдеңе табылатынын білмейді. Балама — нәтиже үшін төлем.
KEMEL.TECH-те «табылғаны үшін төлеңіз» моделі жұмыс істейді: алдын ала төлем жоқ, әр расталған осалдық үшін CVSS деңгейі бойынша тіркелген тариф бар, бір осалдықтың қайталанбалары қайта тарифтелмейді.
- CRITICAL (CVSS 9.0–10.0): 300 000 – 600 000 ₸. Мысалы, кодты қашықтан орындау, SQL-инъекция, авторизацияны айналып өту.
- HIGH (CVSS 7.0–8.9): 120 000 – 200 000 ₸. Мысалы, сақталған XSS, IDOR, JWT қателері.
- MEDIUM (CVSS 4.0–6.9): 50 000 – 100 000 ₸. Мысалы, CSRF, шағылысқан XSS, OAuth және CORS қателері.
- LOW (CVSS 0.1–3.9): 15 000 – 40 000 ₸. Мысалы, қауіпсіздік тақырыптары, SSL баптаулары.
- Осалдық табылмаса, «периметр таза» есебін тегін аласыз.
Мерзімдер және не кіреді
Базалық тексеру көлеміне қарай 48 сағаттан 10 жұмыс күніне дейін созылады. Орындаушы сыни олжалар туралы есепті күтпей, бірден хабарлайды.
- Сыртқы периметр: домендер, қосалқы домендер, ашық сервистер.
- Веб-қосымшалар және жеке кабинеттер (OWASP Top-10).
- API және мобильді қосымшалар.
- Жұмыс логикасы: біреудің деректеріне қол жеткізу, төлемді айналып өту, құқықтарды арттыру.
- Жұмысшылардың құпиясөздерінің ашық базалардағы ағып кетуі.
- Түзетуден кейінгі тегін ретест.
Орындаушыны қалай таңдау керек
- Жұмыс басталғанға дейін жазбаша рұқсат пен NDA туралы сұраңыз.
- Олжалар тек сканермен емес, қолмен расталатынын біліңіз.
- Есеп үлгісін сұраңыз: онда CVSS, қайта жасау қадамдары және ұсынымдар болуы тиіс.
- Қайталама тексерудің бағаға кіретінін нақтылаңыз.
- Төлем модельдерін салыстырыңыз: көлем үшін тіркелген баға немесе табылғаны үшін төлем.
Жиі қойылатын сұрақтар
- Қазақстанда пентест қанша тұрады?
- Баға көлемге және төлем моделіне байланысты. KEMEL.TECH-те алдын ала төлем жоқ: тек расталған осалдықтар үшін CVSS тарифі бойынша төлейсіз, LOW үшін 15 000 ₸-ден CRITICAL үшін 600 000 ₸-ге дейін. Осалдық болмаса, есеп тегін.
- Пентест қанша уақытқа созылады?
- Көлеміне қарай 48 сағаттан 10 жұмыс күніне дейін. Red Team 2–4 апта алады.
- Пентестке рұқсат қажет пе?
- Иә. Ресурс иесінің жазбаша рұқсаты қажет. Онсыз жұмыс ақпаратқа заңсыз қол жеткізу болып саналады (ҚР Қылмыстық кодексінің 205-бабы).